Regulativa kibernetičke sigurnosti: zakoni, standardi i obveze

Alfa vodič » igre » Regulativa kibernetičke sigurnosti: zakoni, standardi i obveze

Propisi o kibernetičkoj sigurnosti postali su temeljni stup za tvrtke, javne uprave i građane kako bi mogli poslovati s relativnim mirom u sve agresivnijem digitalnom okruženju. Napadi ransomwarea, masovne povrede podataka, krađa identiteta i sabotaža kritične infrastrukture više nisu futuristički scenariji, već svakodnevne pojave za organizacije svih veličina.

S obzirom na ovu situaciju, rješenje se ne može ograničiti na instaliranje antivirusnog softvera i nadanje najboljem: potreban je robustan, koherentan i stalno promjenjiv regulatorni okvir kako bi se definirale jasne obveze, uspostavili minimalni sigurnosni standardi i potaknula međunarodna suradnja. U sljedećim odlomcima pronaći ćete sveobuhvatan pregled španjolskog i europskog pravnog okvira, najvažnijih tehničkih standarda (ISO, NIST, ENS), obveza za tvrtke i novih regulatornih trendova.

Što je kibernetička sigurnost i koje vrste prijetnji zakon regulira?

Kada govorimo o kibernetičkoj sigurnosti, govorimo o zaštiti sustava, mreža i podataka od bilo kakvog neovlaštenog pristupa, korištenja, izmjene ili uništenja. Definicija koju koristi američka Nacionalna inicijativa za karijere i studije kibernetičke sigurnosti (NICCS) opisuje je kao aktivnost, proces ili sposobnost kojom se informacijski i komunikacijski sustavi i informacije koje oni sadrže brane od oštećenja ili iskorištavanja.

U praksi se to prevodi u skup tehničkih, organizacijskih, pravnih i obrazovnih mjera usmjerenih na zaštitu digitalnih informacija u međusobno povezanom mrežnom okruženju. Kibernetička sigurnost spada pod okrilje informacijske sigurnosti, ali s vrlo jasnim fokusom na rizike koji nastaju posebno u kibernetičkom prostoru.

U tom kontekstu pojavljuju se povezani koncepti na koje se regulacija također usredotočuje, poput kibernetičkog kriminala, kibernetičkih prijetnji i samog kibernetičkog prostora . Kibernetički kriminal obuhvaća kriminalno ponašanje počinjeno putem interneta (online prijevare, napadi na sustave, iznuda putem ransomwarea itd.). Kibernetičke prijetnje su mogućnosti ili prilike za nanošenje štete digitalnim sredstvima. A kibernetički prostor se shvaća kao međusobno povezana stvarnost koja se proteže izvan interneta i integrira mreže, uređaje i sustave diljem svijeta.

Ilegalne aktivnosti koje spadaju pod ovaj kišobran vrlo su raznolike: od prijevare u e-trgovini ili krađe vjerodajnica do uvođenja zlonamjernog softvera u sustave tvrtke, širenja lažnih vijesti radi nanošenja štete pojedincu, lažnog predstavljanja robne marke ili namjernih napada na kritičnu infrastrukturu. Stoga se kibernetička sigurnost povezuje s različitim granama prava kao što su kazneno pravo, građansko pravo, zaštita podataka te prava na čast i privatnost.

Ključ leži u online dimenziji ponašanja i njegovom utjecaju : kada se napad počini u digitalnom okruženju, brzina širenja, geografski doseg i teškoća atribucije potpuno mijenjaju pravila igre. To opravdava brzu prilagodbu zakonodavstva kako bi se obuhvatile situacije koje se u fizičkom svijetu nisu ni razmatrale.

Europski regulatorni okvir za kibernetičku sigurnost

Europska unija razvila je sveobuhvatan regulatorni okvir za rješavanje kibernetičkih prijetnji , kombinirajući direktive, propise i specifične strategije. Cilj je dvostruk: prvo, podići minimalnu razinu sigurnosti u svim državama članicama; i drugo, spriječiti da ranjivost jedne zemlje postane ulaz za ugrožavanje drugih.

Direktive NIS i NIS2: srž kibernetičke sigurnosti u EU-u

Prvi veliki korak u tom procesu bila je Direktiva 2016/1148, poznata kao Direktiva o NIS-u , kojom su utvrđene mjere za osiguranje zajedničke razine sigurnosti mreža i informacijskih sustava diljem EU-a. Ova uredba zahtijeva od država članica da usvoje nacionalne strategije kibernetičke sigurnosti, stvore timove za odgovor na incidente računalne sigurnosti (CSIRT) i prate operatere bitnih usluga i pružatelje digitalnih usluga.

Direktiva NIS posebno regulira obveze operatera bitnih usluga (kao što su energetika, promet, zdravstvo i bankarstvo) i određenih pružatelja digitalnih usluga. Oni su dužni usvojiti tehničke i organizacijske mjere proporcionalne riziku, osigurati odgovarajuću razinu sigurnosti i odmah obavijestiti nadležno tijelo ili nacionalni CSIRT o značajnim incidentima.

Međutim, porast kibernetičkog kriminala i ubrzanje digitalizacije nakon pandemije pokazali su potrebu za daljnjim mjerama. To je dovelo do donošenja Direktive (EU) 2022/2555, poznate kao NIS2 , koja proširuje obuhvaćene sektore, jača zahtjeve za upravljanje rizicima i značajno skraćuje rokove za prijavu incidenata (24 sata za prvu obavijest).

NIS2 uključuje nove sigurnosne obveze, uspostavlja strože nadzorne režime i relevantne ekonomske sankcije za bitne i važne subjekte te izričito ukazuje na odgovornost upravnih tijela koja moraju biti uključena u upravljanje kibernetičkom sigurnošću i mogu biti sankcionirana u slučaju grube nepažnje.

Uredba EU-a o kibernetičkoj sigurnosti i sustav certificiranja

Još jedan ključni stup je Uredba EU o kibernetičkoj sigurnosti iz 2019. , koja jača mandat ENISA-e (Agencije Europske unije za kibernetičku sigurnost) i stvara europski okvir za certifikaciju kibernetičke sigurnosti za ICT proizvode, usluge i procese.

Zahvaljujući ovom okviru, tvrtka može certificirati proizvod ili uslugu kibernetičke sigurnosti samo jednom i taj certifikat biti priznat u cijelom EU-u, što pojednostavljuje unutarnju trgovinu i povećava povjerenje na tržištu. Certifikacija postaje pečat kvalitete koji olakšava dokazivanje usklađenosti sa sigurnosnim zahtjevima koje zahtijevaju kupci i regulatori.

Europska komisija usavršava ovaj okvir i predložila je specifične izmjene, poput one odobrene u siječnju 2025., kako bi se omogućile europske sheme certificiranja primjenjive na upravljane sigurnosne usluge (odgovor na incidente, testiranje penetracije, sigurnosne revizije, savjetovanje itd.). Cilj je ojačati povjerenje u usluge koje su ključne za sprječavanje, otkrivanje i oporavak od kibernetičkih napada.

Nova uloga za ENISA-u

ENISA se razvila od prvenstveno tehničkog i savjetodavnog tijela do tijela s trajnim i ojačanim mandatom . Njegove ključne funkcije uključuju pripremu temelja za sheme certificiranja, javno izvještavanje o izdanim certifikatima, podršku operativnoj suradnji između država članica i djelovanje kao referentna točka u većim prekograničnim incidentima.

Nadalje, Komisija je predložila da ENISA razvije zajedničku sposobnost upravljanja ranjivostima na razini cijele EU-a , pružajući usluge dionicima i upravljajući jedinstvenom točkom pristupa za prijavljivanje incidenata, kako je predviđeno inicijativama poput Digitalnog omnibusa. Sve to ima za cilj usklađivanje upravljanja ranjivostima i poboljšanje koordiniranog odgovora na složene napade.

GDPR, eIDAS, DORA i drugi ključni elementi

Uz NIS2 i Uredbu o kibernetičkoj sigurnosti, i drugi europski propisi imaju izravan utjecaj na kibernetičku sigurnost. Opća uredba o zaštiti podataka (GDPR) zahtijeva donošenje odgovarajućih tehničkih i organizacijskih mjera kojima se jamči povjerljivost, integritet i dostupnost osobnih podataka, s kaznama koje mogu doseći i do 4% globalnog prometa.

Uredba eIDAS , sa svoje strane, uspostavlja okvir za elektroničku identifikaciju i usluge povjerenja (elektronički potpisi, pečati, vremenski žigovi, ovjerena elektronička dostava, autentifikacija web-mjesta). Postavljanjem vrlo strogih sigurnosnih zahtjeva postaje bitan element za osiguranje povjerenja u digitalne transakcije u javnom i privatnom sektoru.

U financijskom sektoru, Uredba DORA (Zakon o digitalnoj operativnoj otpornosti) dodaje dodatni sloj obveza u vezi s digitalnom otpornošću, naprednim testiranjem penetracije, kritičnim upravljanjem ICT-om trećih strana i obavještavanjem o incidentima, što je u skladu s duhom NIS2, ali s vrlo specifičnim fokusom na financijske usluge.

Regulativa kibernetičke sigurnosti u Španjolskoj

Španjolska prilagođava svoje zakonodavstvo kako bi ga uskladila s europskim zahtjevima, a istovremeno se bavila vlastitim potrebama za zaštitom. Ključna referentna točka je Zakonik o kibernetičkoj sigurnosti objavljen u Službenom glasniku (BOE), koji sastavlja glavne propise koji utječu na ovo područje.

Kraljevski dekret-zakon 12/2018 i naknadni razvoj

Kraljevski dekret-zakon 12/2018 o sigurnosti mreža i informacijskih sustava je uredba kojom se prva NIS direktiva prenosi u španjolsko zakonodavstvo. Njime se definiraju sigurnosni zahtjevi i obveze izvješćivanja o incidentima za operatere bitnih usluga i određene pružatelje digitalnih usluga (internetske tržnice, tražilice i usluge računalstva u oblaku koje nisu mikro ili mala poduzeća).

Među najvažnijim obvezama za srednje i velike pružatelje digitalnih usluga su: obavještavanje nadležnog tijela (Ministarstva digitalne transformacije) o svojoj aktivnosti unutar prva tri mjeseca, usvajanje odgovarajućih tehničkih i organizacijskih mjera za upravljanje sigurnosnim rizicima i obavještavanje odgovarajućeg CSIRT-a (gdje je primjenjivo, INCIBE-CERT) o značajnim incidentima.

Ove mjere moraju uzeti u obzir sigurnost IT infrastrukture , upravljanje incidentima, kontinuitet poslovanja, praćenje i reviziju, kao i usklađenost s međunarodnim standardima. Iako standard ne pruža iscrpan popis kontrola, jasno definira područja koja moraju biti obuhvaćena kako bi se postiglo razumno i proporcionalno upravljanje rizicima.

Regulatorni razvoj proizašao je iz Kraljevske uredbe 43/2021 , koja određuje dodatne obveze za operatore elektroničkih komunikacijskih mreža i usluga, jačajući sigurnost i otpornost telekomunikacijske infrastrukture, jednog od najkritičnijih sektora i izloženog kibernetičkim napadima.

Zaštita podataka, pouzdane usluge i kritična infrastruktura

Što se tiče privatnosti, španjolski organski zakon o zaštiti podataka i jamstvu digitalnih prava (LOPDGDD) nadopunjuje i proširuje GDPR u Španjolskoj, uspostavljajući dodatne zaštitne mjere i obveze za korištenje osobnih podataka u digitalnim okruženjima. Ovaj zakon zahtijeva od organizacija da provedu robusne kontrole kibernetičke sigurnosti kako bi spriječile povrede i curenje podataka.

U području elektroničke identifikacije i usluga povjerenja, Zakon 6/2020 prilagođava španjolske propise Uredbi eIDAS, definirajući obveze pružatelja usluga povjerenja (elektronički potpis i pečat, ovjerena dostava, certifikati za autentifikaciju itd.) i uspostavljajući detaljan okvir za kibernetičku sigurnost ovih kritičnih usluga.

S druge strane, Zakon 8/2011 o zaštiti kritične infrastrukture uspostavlja pravni okvir za zaštitu sustava i imovine bitne za društvo, gospodarstvo i nacionalnu sigurnost. Iako su njegovi podrijetla uže povezani s fizičkom zaštitom, zakon izričito priznaje da mnoge od tih infrastruktura ovise o ICT mrežama i sustavima, čime se kibernetička sigurnost uključuje kao sastavni dio ukupne zaštite.

Svemu tome dodaje se Opći zakon o telekomunikacijama iz 2022., koji obvezuje komunikacijske operatere da usvoje sigurnosne mjere i prijave relevantne incidente vlastima, kao i Nacionalni sigurnosni program (ENS) , ažuriran 2025., koji utvrđuje obvezna sigurnosna načela, zahtjeve i razine za javne uprave i njihove pružatelje tehnologije.

Nacionalna sigurnosna shema i javne uprave

Nacionalni sigurnosni okvir (ENS) je, u praksi, okvir kibernetičke sigurnosti za javni sektor u Španjolskoj. Definira osnovna načela (prevencija, otkrivanje, odgovor, oporavak, kontinuirano poboljšanje) i određuje skup mjera koje se moraju primjenjivati ​​prema razinama sigurnosti (niska, srednja, visoka) povezanim sa svakim informacijskim sustavom.

Ova shema zahtijeva od uprava i dobavljača koji s njima surađuju da se podvrgavaju periodičnim sigurnosnim revizijama i kontrolama , da održavaju ažurirane politike, da pravilno upravljaju identitetima i pristupom, da primjenjuju enkripciju gdje je to prikladno te da bilježe i analiziraju aktivnosti kako bi otkrili incidente.

NIS2 u Španjolskoj: sljedeći regulatorni val

Španjolska već radi na Kraljevskom dekretu kojim će se prenijeti NIS2 i značajno proširiti broj sektora i subjekata koji podliježu strogim obvezama kibernetičke sigurnosti. Uz već obuhvaćene sektore, bit će uključena nova područja, poput određenih proizvođača, poštanskih usluga, istraživanja, naprednih pružatelja ICT usluga i drugih.

Među najvažnijim očekivanim promjenama je opće smanjenje rokova za obavještavanje nadležnih tijela o ozbiljnim incidentima, koji će se u mnogim slučajevima smanjiti na 24 sata, te jačanje upravljačkih odgovornosti i režima sankcija , usklađenih s europskim brojkama (kazne do 10 milijuna eura ili postotak globalnog prometa).

Međunarodni tehnički standardi i norme kibernetičke sigurnosti

Osim zakonodavstva, organizacije se oslanjaju na tehničke standarde i međunarodne okvire koji određuju koje kontrole, procese i najbolje prakse treba implementirati. Ovi standardi ne samo da pomažu u osiguravanju usklađenosti s propisima, već i pokazuju dužnu pažnju klijentima, partnerima i vlastima.

Obitelj ISO/IEC 27000 i ISO sigurnost informacija

Obitelj normi ISO/IEC 27000 je de facto standard u upravljanju sigurnošću informacija . U njezinoj srži je ISO/IEC 27001, koji definira zahtjeve za implementaciju Sustava upravljanja sigurnošću informacija (ISMS) na temelju ciklusa kontinuiranog poboljšanja: analizirati rizike, definirati kontrole, implementirati ih, pregledati ih i poboljšati.

Standard se temelji na normi ISO/IEC 27002, koja pruža sveobuhvatne smjernice o organizacijskim, tehničkim i fizičkim kontrolama (pravila, kontrola pristupa, šifriranje, fizička sigurnost, sigurno poslovanje, upravljanje incidentima itd.). Povezani standardi uključuju ISO/IEC 27005 (upravljanje rizicima), ISO/IEC 27032 (kibernetička sigurnost u strogom smislu) i ISO/IEC 27701 (privatnost).

U mnogim sektorima, posjedovanje ISO 27001 certifikata postalo je gotovo uvjet za ulazak, jer značajno smanjuje vjerojatnost ozbiljnih incidenata , olakšava revizije usklađenosti (GDPR, NIS2, ENS) i poboljšava imidž organizacije kod kupaca i investitora.

ISO/IEC 27032: Kibernetička sigurnost u kiberprostoru

Dok se ISO 27001 fokusira na cjelokupno upravljanje sigurnošću informacija, ISO/IEC 27032 se posebno fokusira na kibernetičku sigurnost shvaćenu kao zaštita kibernetičkog prostora u kojem korisnici, sustavi, mreže i povezivost , društvene mreže, mobilni uređaji i kritična infrastruktura međusobno djeluju.

Ovaj standard pruža smjernice za borbu protiv prijetnji poput naprednog zlonamjernog softvera, špijunskog softvera, phishinga i socijalnog inženjeringa , jačanje sigurnosti mreža i online usluga, poticanje suradnje između vlada, poduzeća i korisnika te uspostavljanje okvira za dijeljenje informacija o incidentima i ranjivostima.

Njegova implementacija posebno je korisna za organizacije koje se oslanjaju na usluge u oblaku, online platforme i suradničke ekosustave, jer im pruža strukturirani pregled prijetnji u međusobno povezanim okruženjima i prioritetnih kontrola kojima se moraju pozabaviti.

ISO/IEC 27701: Privatnost i zaštita podataka

Norma ISO /IEC 27701 proširuje ISMS norme ISO 27001 kako bi obuhvatila upravljanje privatnošću osobnih podataka. Definira dodatne uloge, odgovornosti i kontrole za voditelje obrade i obrađivače podataka te je usko usklađena sa zahtjevima GDPR-a.

Implementacijom ovog standarda, organizacija može jasno pokazati da je integrirala privatnost u svoj model upravljanja , upravlja specifičnim rizicima povezanim s osobnim podacima te ima formalizirane procese za rješavanje prava ispitanika, upravljanje povredama podataka i ograničavanje međunarodnog prijenosa podataka.

ISO 22301: Kontinuitet poslovanja

Kibernetička sigurnost ne mjeri se samo sposobnošću oduprijeti se napadu, već i brzinom kojom se organizacija može oporaviti i nastaviti s radom . Tu na scenu stupa ISO 22301, usmjeren na upravljanje kontinuitetom poslovanja.

Ovaj standard zahtijeva procjene utjecaja na poslovanje (BIA), uspostavu strategija kontinuiteta, dokumentirane planove oporavka, redovito testiranje i održavanje mehanizama komunikacije i koordinacije tijekom kriza. Incident kibernetičke sigurnosti bez plana kontinuiteta može paralizirati tvrtku tjednima i generirati gubitke u milijunima.

NIST Cybersecurity Framework

U Sjedinjenim Državama, NIST-ov Okvir za kibernetičku sigurnost postao je mjerilo koje su usvojile i europske organizacije. Strukturiran je oko pet ključnih funkcija: identificiranje, zaštita, otkrivanje, odgovor i oporavak.

Ovaj pristup omogućuje tvrtkama da procijene svoju zrelost u svakoj funkciji , odrede prioritete ulaganja i osmisle uravnotežen program kibernetičke sigurnosti. Posebno je koristan za nadopunjavanje zahtjeva NIS2 ili ISO standarda, jer pruža zajednički jezik i vrlo jasan konceptualni okvir.

Nacionalni sigurnosni sustav (ENS) i certifikati u Španjolskoj

U španjolskom kontekstu, Nacionalna sigurnosna shema (ENS) djeluje kao lokalni i obvezni prijevod mnogih načela međunarodnih standarda , posebno za javni sektor. Organizacije koje pružaju usluge vladi često su dužne uskladiti se s ovom shemom, što ih u praksi tjera da usvoje modele slične ISO 27001 i 27002.

Uz Nacionalni sigurnosni program (ENS), sve je veća upotreba certifikata poput ISO 27001 i NIST okvira . Španjolska se nalazi među vodećim zemljama u Europi po broju certificiranih organizacija, a istraživanja pokazuju da certificirane tvrtke smanjuju ozbiljne incidente i poboljšavaju svoju sposobnost odgovora na napade.

Obveze kibernetičke sigurnosti i najbolje prakse za tvrtke

Osim slova zakona, svaka organizacija koja rukuje osjetljivim informacijama ili pruža digitalne usluge mora prepoznati kibernetičku sigurnost kao stratešku odgovornost . Čak i kada tvrtka ne spada u strogi opseg NIS2 ili Kraljevske uredbe-zakona 12/2018, vlasti preporučuju provedbu robusnog sigurnosnog plana.

Analiza rizika i početna revizija

Prvi razuman korak je provesti analizu rizika koja identificira kritičnu imovinu (podatke, sustave, procese), tehničke i organizacijske ranjivosti, najvjerojatnije prijetnje (ransomware, phishing, DDoS, interna curenja) i potencijalni utjecaj svakog scenarija.

Paralelno s tim, revizija kibernetičke sigurnosti omogućuje procjenu trenutne razine zrelosti: postojećih politika, tehničkih konfiguracija, razina zakrpa, obuke osoblja, ovisnosti o trećim stranama itd. Ovaj sveobuhvatni pregled omogućuje razvoj realističnog akcijskog plana, dajući prioritet mjerama s najvećim povratom ulaganja u smanjenje rizika.

Definicija internih politika i postupaka

Nakon što se rizik shvati, vrijeme je da se odluke prevedu u jasne interne politike i operativne postupke . To uključuje definiranje koje su aplikacije dopuštene, kako se upravlja korisničkim računima, koji se zahtjevi za lozinkom primjenjuju, kako se koriste osobni uređaji (BYOD), što se radi s vanjskim medijima za pohranu, kako se izrađuju i testiraju sigurnosne kopije i tako dalje.

Također je bitno uspostaviti postupke upravljanja incidentima (tko što radi, kada obavijestiti, kome eskalirati), pravila za korištenje korporativnih komunikacijskih medija (e-pošta, alati za suradnju), pravila za fizički pristup objektima i sigurnosne kriterije koje treba zahtijevati od pružatelja usluga u oblaku ili hostinga.

Automatizacija i tehnološki alati

Same politike su besmislene bez tehnoloških alata koji olakšavaju njihovu provedbu . Ključne komponente uključuju sustave za otkrivanje i sprječavanje upada (IDS/IPS), rješenja za upravljanje identitetom i pristupom (IAM), platforme za korelaciju sigurnosnih informacija i događaja (SIEM) te rješenja za šifriranje podataka za podatke u mirovanju i u prijenosu.

Automatizacija je također ključna u upravljanju životnim ciklusom digitalnih certifikata , čiji loše upravljani isteci uzrokuju više incidenata nego što se čini: prekide usluge, neuspjehe autentifikacije ili čak sigurnosne propuste ako se kompromitirani certifikati ne opozovu na vrijeme.

Upravljanje digitalnim certifikatima i potpisivanje koda

Digitalni certifikati poslužitelja i korisnika (DV, OV, EV) ključni su za osiguranje autentičnosti web-mjesta, povjerljivosti komunikacije i integriteta razmijenjenih podataka. Organizacije bi trebale osigurati odabir odgovarajuće vrste certifikata, centralizirati njegovo upravljanje, primati upozorenja o isteku i automatizirati obnavljanja kad god je to moguće.

Paralelno s tim, za tvrtke koje razvijaju softver ili distribuiraju aplikacije, digitalno potpisivanje koda je temeljna kontrola: jamči da kod nije mijenjan od njegovog objavljivanja i sprječava korisnike da instaliraju izvršne datoteke izmijenjene zlonamjernim softverom. Certifikati za potpisivanje koda, posebno oni s proširenom validacijom (EV), u skladu su sa standardima povjerenja koje zahtijevaju operativni sustavi i preglednici.

Sigurnost e-pošte i obuka osoblja

E-pošta ostaje preferirani vektor za napadače: phishing kampanje i zlonamjerni softver distribuiran putem e-pošte uzrok su velike većine incidenata . Kako bi se smanjio ovaj rizik, potrebno je implementirati protokole poput SPF-a, DKIM-a i DMARC-a, koristiti enkripciju i digitalne potpise u osjetljivim e-porukama te implementirati napredna rješenja za filtriranje i koristiti sigurna proširenja preglednika.

Međutim, sama tehnologija nije dovoljna bez kontinuirane obuke i podizanja svijesti . Iskustvo pokazuje da preko 80% incidenata ima ljudsku komponentu: neovlašteni klikovi, dijeljeni pristupni podaci, slabe lozinke, nepažljivo korištenje osobnih uređaja i tako dalje. Integracija kibernetičke sigurnosti u kulturu tvrtke jednako je važna kao i instaliranje dobrog vatrozida.

Uloga međunarodnih organizacija u reguliranju kibernetičke sigurnosti

Kibernetička sigurnost je, po definiciji, prekogranični problem i zato su organizacije poput UN-a, NATO-a, G7 ili G20 preuzele relevantnu ulogu u razvoju načela, preporuka i okvira suradnje koji izravno utječu na španjolsko i europsko zakonodavstvo.

Vijeće Europe promoviralo je Budimpeštansku konvenciju o kibernetičkom kriminalu , koja ostaje referentni međunarodni ugovor za kazneni progon kibernetičkog kriminala. Španjolska je uskladila svoj Kazneni zakonik i postupke pravosudne suradnje s ovom konvencijom, olakšavajući istragu i kazneni progon zločina koji prelaze granice.

Paralelno s tim, forumi poput G7 i G20 izdali su političke obveze o zaštiti kritične infrastrukture, borbi protiv kibernetičkog kriminala, upravljanju internetom i zaštiti podataka . Ove smjernice utječu na izradu nacionalnih strategija kibernetičke sigurnosti i pravnih reformi koje jačaju otpornost financijskog sustava, energetskog sektora i e-uprave.

NATO je, sa svoje strane, uključio kibernetički prostor kao još jednu operativnu domenu kolektivne obrane . Sudjelovanje Španjolske u vježbama poput Locked Shields i Cyber ​​​​Coalition doprinosi poboljšanju sposobnosti kibernetičke obrane, prilagodbi nacionalnog zakonodavstva i jačanju suradnje sa saveznicima u slučaju velikih kibernetičkih napada.

Konačno, UN, putem Međunarodne telekomunikacijske unije (ITU) i drugih tijela, promiče globalne standarde, tehničke preporuke i programe obuke koji pomažu zemljama u razvoju koherentnih regulatornih okvira, zaštiti ljudskih prava u kibernetičkom prostoru i boljoj koordinaciji protiv uobičajenih kibernetičkih prijetnji.

Cijeli ovaj međunarodni okvir vrši snažan pritisak na Španjolsku i ostale države EU da svoje pravne okvire ažuriraju i usklađuju s globalnim standardima , kako u prevenciji tako i u odgovoru na incidente.

Sveukupno, regulacija kibernetičke sigurnosti postala je svojevrsni regulatorni štit koji se razvija istim frenetičnim tempom kao i prijetnje: europske direktive poput NIS2, propisi poput GDPR-a, DORA-e ili eIDAS-a, nacionalni zakoni, sheme javne sigurnosti, ISO standardi i NIST okviri uklapaju se poput dijelova slagalice koja prisiljava organizacije da vrlo ozbiljno shvate upravljanje digitalnim rizicima, da profesionaliziraju svoje sigurnosne programe i da pretpostave da kibernetička otpornost više nije dodatak, već bitan uvjet za nastavak natjecanja i poslovanja s jamstvima u današnjem gospodarstvu.